Règles RLS de chaque table
Activées partout, et qui filtrent vraiment par utilisateur. Une règle « using (true) » laisse tout passer.
Diagnostic · Lovable
Votre app Lovable marche en démo. Est-elle prête pour de vrais clients ?
Je fais le diagnostic de votre application Lovable en quelques jours : sécurité de la base Supabase, qualité du code, coûts et mise en production. Vous savez ce qu’il faut garder, corriger ou refaire, et combien ça coûte.
Premier échange de 15 min, sans engagement. Diagnostic à partir de 1 200 € HT.
Lovable en bref
Générateur d’applications web par IA. Ce qu’il faut savoir avant de faire grandir une app construite avec.
- Ce que Lovable génère
- Une app web React (Vite, TypeScript, Tailwind, shadcn/ui) qui se construit dans le navigateur.
- Base de données
- Supabase : base Postgres, authentification, stockage et fonctions, directement ou via Lovable Cloud.
- Récupérer le code
- Oui, grâce à la synchronisation GitHub. Le code vous appartient et peut tourner hors de Lovable.
- Hébergement
- Sur Lovable par défaut, ou chez n’importe quel hébergeur de sites (Vercel, Netlify…).
- Point de vigilance n°1
- Les règles d’accès Supabase (RLS). En 2025, un chercheur a trouvé des tables lisibles ou modifiables sans connexion dans 170 des 1 645 apps Lovable analysées (CVE-2025-48757, contestée par Lovable, qui en attribue la responsabilité aux créateurs des apps).
Informations vérifiées le 5 novembre 2026. Ces outils évoluent vite : je mets cette page à jour régulièrement.
Ça vous parle ?
- Chaque nouvelle demande à Lovable casse une fonction qui marchait.
- Vos crédits partent dans des corrections qui reviennent.
- Vous ne savez pas si les données de vos clients sont protégées.
- Google n’affiche pas vos pages, ou vos liens partagés n’ont pas d’aperçu.
- Un développeur vous a dit qu’il fallait tout refaire.
Ce que je vérifie sur une app Lovable
Clés et secrets
La clé service_role et les clés OpenAI ou Stripe ne doivent jamais arriver dans le navigateur, y compris via les variables VITE_.
Logique côté serveur
Rôles admin, paiements et limites vérifiés dans Supabase ou dans les fonctions, pas seulement cachés dans l’interface.
Référencement
Les pages se construisent dans le navigateur : je vérifie ce que voient Google et les aperçus de liens, et s’il faut un rendu côté serveur pour les pages publiques.
GitHub et migrations
Le code et le schéma de la base sont-ils versionnés ? Peut-on revenir en arrière après une erreur ?
Et sur chaque projet
Propriété des comptes
Qui détient les comptes de l’outil, de la base de données, de GitHub et du nom de domaine ? Tout doit être à votre nom.
Sauvegardes et environnements
Existe-t-il des sauvegardes, une version de test séparée de la production, et un moyen de revenir en arrière ?
Coûts mensuels
Abonnements, crédits, base de données et services tiers : ce que l’app coûte aujourd’hui et à 10 fois plus d’utilisateurs.
Garder, corriger, refaire
Le rapport classe chaque partie de l’app dans l’une de ces trois cases. Voici ce que l’on trouve le plus souvent sur un projet Lovable.
À garder
L’interface et les parcours validés par vos utilisateurs : c’est souvent la partie la plus réussie.
À corriger
Les règles d’accès, les secrets, la gestion des erreurs et les composants devenus trop gros.
À refaire
Rarement tout. Parfois la logique métier critique (paiements, droits), pour la sortir du navigateur.
Mon avis de CTO
J’ai lancé BabyCheck en 14 jours : je ne vais pas vous dire que les outils rapides sont un problème. Lovable est excellent pour valider une idée. Les ennuis arrivent avec les vrais utilisateurs : Lovable va vite sur ce qui se voit à l’écran, et la protection des données reste à vérifier. Chez Welco, nous sommes passés de zéro à 150 000 inscrits : ce qui a tenu, ce sont les règles d’accès, les sauvegardes et la capacité à corriger sans tout casser. C’est exactement ce que je vérifie.
Comment se passe le diagnostic
- 01Accès en lecture
Vous m’invitez en lecture seule sur le dépôt GitHub et sur le projet (Supabase, Firebase…). Les accès sont retirés à la fin, et je peux signer un accord de confidentialité.
- 02Analyse
Sécurité des données, structure du code, sauvegardes, propriété des comptes et coûts mensuels.
- 03Rapport
Un feu vert, orange ou rouge par point, avec des exemples tirés de votre code et un plan garder, corriger, refaire.
- 04Restitution
1 h pour décider ensemble : vous continuez seul avec le plan, je corrige, ou je prends la direction technique.
Tarifs
Diagnostic express
HT1 200 €
environ 3 jours ouvrés
- Sécurité, code, données et coûts
- Un feu vert, orange ou rouge par point
- 1 h de restitution en visio
Audit complet + feuille de route
HT2 400 €
environ 5 jours ouvrés
- Tout le diagnostic express
- Ce qui marche vraiment, fonctionnalité par fonctionnalité
- Feuille de route chiffrée : conserver, corriger, remplacer
Reprise et mise en production
à partir de · HT5 000 €
en général 2 à 8 semaines
- Corrections de sécurité et des bugs bloquants
- Mise en production et suivi des erreurs
- Documentation et passation
Accès en lecture seule, retirés à la fin. Accord de confidentialité possible.
Vos questions
Faut-il tout refaire ?
Rarement. Dans la plupart des cas, on garde l’interface et les parcours, et on corrige la sécurité, la structure du code et la mise en production. Le diagnostic sert à le décider sur des faits.
Dois-je vous donner accès à mon code ?
Oui, en lecture seule : le dépôt GitHub synchronisé et le projet Supabase, ou l’accès à l’espace Lovable si l’app utilise Lovable Cloud. Les accès sont retirés à la fin du diagnostic, et je peux signer un accord de confidentialité.
Mon app utilise Lovable Cloud. C’est pareil ?
Lovable Cloud repose aussi sur Supabase : les mêmes vérifications s’appliquent (règles d’accès, secrets, fonctions).
Pourrai-je continuer à utiliser Lovable ensuite ?
Oui. Le plan peut prévoir de garder Lovable pour faire évoluer l’interface, en protégeant ce qui compte côté base de données. Ou de passer à un développement classique si le produit l’exige.
Mon app Lovable peut-elle aller sur l’App Store ?
Lovable génère une app web. Pour les stores, il faut l’emballer (avec Capacitor par exemple) ou développer une vraie app mobile, et Apple refuse souvent les simples sites emballés. Le diagnostic dit quelle option tient la route pour vous.
Pour aller plus loin
Lovable ou un développeur ?Lovable ou Bolt ?Lovable ou Base44 ?Supabase ou Firebase ?Lovable ou Replit ?Lovable ou Cursor ?Diagnostic d’une app BoltDiagnostic d’une app Base44Diagnostic d’une app FlutterFlowDiagnostic d’une app v0Diagnostic d’une app ReplitDiagnostic d’une app BubbleChecklist gratuite : votre app est-elle prête ?CTO freelance à temps partagé
La prochaine étape
Parlons de votre app Lovable.
Décrivez votre app en quelques lignes : ce qu’elle fait, où elle bloque, ce que vous voulez faire ensuite. Je vous dis par quoi commencer.